Pravila privatnosti

Ovo je prijevod iz ljubaznosti. Pravno obvezujuća verzija je talijanska; u slučaju bilo kakvog odstupanja mjerodavan je talijanski tekst.

Verzija 1.7 — Zadnje ažuriranje: 2. listopada 2026. — Vrijedi od: 17. listopada 2026.

Gift Ace („Usluga”) razvija i vodi Michele Furgeri.
Ova Pravila privatnosti opisuju kako prikupljamo, koristimo i štitimo tvoje osobne podatke u skladu s Uredbom (EU) 2016/679 (GDPR) i talijanskom Zakonodavnom uredbom 196/2003 (talijanski Zakon o privatnosti), izmijenjenom Zakonodavnom uredbom 101/2018.

Ukratko: prikupljamo samo podatke potrebne da bi mogao/la koristiti Gift Ace. Tvoje podatke ne prodajemo trećim stranama. Napredne značajke personalizacije temeljene na tvom pregledavanju uvijek su neobavezne i privolu možeš povući u bilo kojem trenutku u postavkama aplikacije.

1. Voditelj obrade

Michele Furgeri
E-pošta: info@giftace.app

Službenik za zaštitu podataka (DPO) nije imenovan. Za sva pitanja o svojim osobnim podacima ili za ostvarivanje svojih prava možeš pisati Voditelju obrade na gore navedenu adresu e-pošte.

2. Prikupljeni podaci

Podaci koje korisnik daje izravno

Podaci o registraciji: adresa e-pošte, lozinka (ne pohranjuje se u čitljivom obliku — hashirana je bcryptom)
Podaci profila: korisničko ime, prikazano ime, profilna fotografija, spol, datum rođenja, interesi, negativne preferencije („stvari koje ti se ne sviđaju”), veličine i mjere (neobavezno)
Veličine i mjere: veličina gornjeg dijela odjeće, hlača, donjeg rublja i grudnjaka, veličina prstena i broj cipela. Svako je polje neobavezno, na početku je vidljivo samo tebi, a ti biraš koji ga kontakti smiju vidjeti. Ti se podaci nikada ne šalju pružateljima umjetne inteligencije: modelu se samo kaže da je mjera dostupna, nikada njezina vrijednost. Ne čuvamo njihovu povijest: pohranjuje se samo trenutačna vrijednost, a kasnije je izmjene prepisuju.
Stvoreni sadržaj: wishliste, stavke na wishlistama, životni događaji, poruke u chatu
Podaci o odnosima: veze s drugim korisnicima, poslane i primljene pozivnice

Automatski prikupljeni podaci

Podaci o korištenju: vremena prijave, postavke teme, zapisi sesija
Push token: identifikator uređaja koji se koristi za slanje push obavijesti
Dijagnostički i analitički podaci: zapisi tehničkih pogrešaka (za stabilnost Usluge) i agregirane, pseudonimizirane statistike korištenja (za poboljšanje Usluge). Analitika korištenja u aplikaciji uključuje se samo uz tvoju prethodnu privolu.

Podaci prikupljeni uz izričitu privolu (neobavezno)

Podaci o pregledavanju u pregledniku unutar aplikacije: URL, naslov i opis proizvoda posjećenih putem Gift Aceova preglednika u aplikaciji. Ti se podaci obrađuju isključivo radi personalizacije AI prijedloga poklona. Nikada se ne otkrivaju trećim stranama. Privolu možeš uskratiti ili povući u bilo kojem trenutku.

Podaci primljeni od pružatelja prijave (Google, Apple)

Ako se odlučiš prijaviti Googleom ili Appleom, autentifikacija se odvija na sustavima pružatelja: Gift Ace nikada ne vidi lozinku tvog Google ili Apple računa. Primamo samo:

Google: adresu e-pošte (potvrđenu), ime, profilnu sliku i jedinstveni identifikator;
Apple: adresu e-pošte i ime. Apple šalje ime samo pri prvoj prijavi. Ako odabereš „Sakrij moju e-poštu”, Apple daje anonimnu adresu za prosljeđivanje (@privaterelay.appleid.com) i tvoja prava adresa ostaje Gift Aceu nepoznata.

Riječ je o istim podacima koji bi se od tebe tražili pri registraciji i koriste se isključivo za stvaranje i identifikaciju tvog računa: pravna osnova je izvršenje ugovora (čl. 6. st. 1. t. (b) GDPR-a). Ne primamo tvoje kontakte, kalendar, fotografije, poruke ni bilo kakav drugi sadržaj s tvojih Google ili Apple računa i nikada ništa ne objavljujemo u tvoje ime.

Google i Apple obrađuju podatke o autentifikaciji kao samostalni voditelji obrade, prema vlastitim pravilima privatnosti (Google, Apple). Gift Aceu možeš u bilo kojem trenutku opozvati pristup u postavkama svog Google ili Apple računa; za brisanje podataka koje Gift Ace već ima upotrijebi brisanje računa opisano u odjeljku „Tvoja prava”.

Secret Santa

Ako izradiš Secret Santa ili mu se pridružiš preko linka, obrađujemo i:

Podaci o grupi: naziv, fotografija (neobavezna), dan razmjene poklona, rok za prijave, okvirni budžet i detalji koje upiše osoba koja organizira; tko sudjeluje, tko organizira i tko je zatražio pridruživanje.
Izvlačenje: kome svaki sudionik daje poklon, parovi koji ne smiju izvući jedno drugo (vidi ih samo osoba koja organizira), je li tvoja omotnica otvorena i imaš li već poklon (te dvije stvari vidi cijela grupa, ali ne i za koga je poklon). Nitko ne zna tko je tajni Djed Božićnjak ostalih, čak ni osoba koja organizira: svatko vidi samo svoju omotnicu. Ako osoba koja organizira uključi konačno otkrivanje, nakon razmjene poklona cijeli se popis tajnih Djedova Božićnjaka vidi u grupi 30 dana.
Osobe za koje se brineš: odrasla osoba može dodati osobe za koje se brine (na primjer dijete ili djeda ili baku bez aplikacije) navodeći samo ime te, po želji, s njima povezati vlastiti popis želja na njihovo ime. Nikakav kontakt ni drugi podaci. Za to odgovara odrasla osoba: za maloljetnika mora ostvarivati roditeljsku odgovornost, za odraslu osobu mora imati njezinu privolu. Te osobe ne primaju nikakve poruke od Gift Acea.
Razmjena poklona na daljinu: ako odabereš primanje poklona poštom, adresa koju upišeš. Vidi je samo osoba koja te je izvukla, i to tek nakon otvaranja omotnice; nikad se ne pojavljuje u obavijestima ni e-porukama. Mjesto na koje se šalju pokloni, koje navede osoba koja organizira, vide svi sudionici.
Oglasna ploča: poruke napisane na oglasnoj ploči grupe, potpisane tvojim imenom i vidljive cijeloj grupi.
Anonimni zahtjevi: osoba koja te je izvukla može te s dvije unaprijed zadane rečenice zamoliti da dodaš želje ili veličine. Poslužitelj zna tko ih šalje, kako bi spriječio zlouporabe, ali tebi se to nikad ne otkriva: stižu sa slučajnim zakašnjenjem i samo kada ih je moglo poslati više osoba iz grupe. Anonimne poruke sa slobodnim tekstom ne postoje.
Otvaranja linka: kad netko otvori link grupe, bilježimo otvaranje s vrstom uređaja i jezikom, bez podataka koji identificiraju osobu.

Statistike za Secret Santa samo su zbirni brojevi: nijedan broj ne omogućuje da se utvrdi tko je kome bio tajni Djed Božićnjak. Secret Santa ne šalje podatke pružateljima umjetne inteligencije.

3. Svrhe i pravna osnova obrade

Svrha	Pravna osnova (GDPR)	Uključeni podaci
Registracija i upravljanje računom	Čl. 6. st. 1. t. (b) — izvršenje ugovora	E-pošta, lozinka, profil
Pružanje Usluge (wishliste, događaji, veze, chat)	Čl. 6. st. 1. t. (b) — izvršenje ugovora	Svi podaci profila i sadržaj
Prikazivanje tvojih veličina kontaktima koje si ovlastio/la	Čl. 6. st. 1. t. (b) — izvršenje ugovora	Veličine i mjere (neobavezno)
AI prijedlozi poklona na temelju profila	Čl. 6. st. 1. t. (b) — izvršenje ugovora	Interesi, preferencije, dob, spol
Push obavijesti i transakcijske e-poruke	Čl. 6. st. 1. t. (b) — izvršenje ugovora	Push token, e-pošta
Personalizacija prijedloga putem podataka o pregledavanju	Čl. 6. st. 1. t. (a) — privola (neobavezna)	URL-ovi i opisi pregledanih proizvoda
Sigurnost, sprječavanje prijevara i zlouporaba	Čl. 6. st. 1. t. (f) — legitimni interes	Zapisi pristupa, podaci o korištenju
Poboljšanje Usluge (agregirana analitika)	Čl. 6. st. 1. t. (f) — legitimni interes	Anonimni/agregirani podaci
Ispunjavanje zakonskih obveza	Čl. 6. st. 1. t. (c) — zakonska obveza	Zapisi privola, podaci koje zatraže nadležna tijela
Secret Santa: grupe, izvlačenje, omotnice, oglasna ploča, obavijesti	Čl. 6. st. 1. t. (b) — izvršenje ugovora	Podaci o grupi i izvlačenju, adresa za razmjenu poklona na daljinu, poruke na oglasnoj ploči
Secret Santa: imena osoba za koje se brine odrasla osoba koja ih je unijela	Čl. 6. st. 1. t. (f) — legitimni interes da u igri mogu sudjelovati i oni koji ne koriste aplikaciju	Samo ime

Obrada temeljena na legitimnom interesu (čl. 6. st. 1. t. (f)) uvijek se odvaguje u odnosu na prava ispitanika. Takvoj se obradi možeš usprotiviti u bilo kojem trenutku obraćanjem Voditelju obrade.

4. Automatizirano odlučivanje i AI profiliranje

Usluga koristi sustave umjetne inteligencije za generiranje personaliziranih prijedloga poklona na temelju podataka tvog profila (interesi, negativne preferencije, spol, dob) i — ako si dao/la privolu — proizvoda koje istražuješ u pregledniku unutar aplikacije. Zahtjevi se usmjeravaju kroz OpenRouter, koji ih prosljeđuje AI modelima trećih strana i može se oslanjati na vlastite pružatelje računalnih resursa (podizvršitelje). Prema OpenRouterovim pravilima, sadržaj zahtjeva ne koristi se za treniranje modela. Korišteni model može se s vremenom mijenjati bez promjene svrha obrade ili kategorija uključenih podataka.

Takvi su prijedlozi isključivo informativni i ne proizvode pravne učinke niti na tebe značajno utječu u smislu čl. 22. GDPR-a. Ne donosi se nikakva obvezujuća automatizirana odluka. Imaš pravo osporiti rezultate i zatražiti ljudsku provjeru pisanjem na info@giftace.app.

5. Lokalna pohrana (AsyncStorage)

Aplikacija koristi AsyncStorage (lokalnu pohranu na uređaju) za čuvanje postavki sesije, autentifikacijskih tokena, postavki teme i zapisa privola. Ti podaci ostaju isključivo na tvom uređaju i ne prenose se trećim stranama. Automatski se brišu pri odjavi ili deinstalaciji aplikacije.

6. Pružatelji usluga (podizvršitelji obrade)

Tvoje podatke mogu obrađivati sljedeći pružatelji, s kojima smo sklopili odgovarajuće ugovore o obradi podataka (DPA) u skladu s čl. 28. GDPR-a:

Pružatelj	Lokacija	Svrha	Zaštitna mjera prijenosa
Supabase Inc.	SAD	Baza podataka, autentifikacija, pohrana	SCC (čl. 46. st. 2. t. (c) GDPR-a)
OpenRouter, Inc.	SAD	Usmjeravanje AI zahtjeva prema AI modelima trećih strana; prema OpenRouterovim pravilima sadržaj se ne koristi za treniranje. Može se oslanjati na vlastite pružatelje računalnih resursa (podizvršitelje)	SCC (čl. 46. st. 2. t. (c) GDPR-a)
Resend Inc.	SAD	Transakcijske e-poruke	SCC (čl. 46. st. 2. t. (c) GDPR-a)
Expo / 650 Industries Inc.	SAD	Distribucija aplikacije, push obavijesti	DPF + SCC
Render Services Inc.	SAD	Hosting backenda	SCC (čl. 46. st. 2. t. (c) GDPR-a)
Cloudflare Inc.	SAD	Hosting statičnih web-stranica (Cloudflare Pages), CDN i zaštita od DDoS napada	DPF + SCC
Functional Software, Inc. (Sentry)	EU (Njemačka)	Praćenje pogrešaka i tehnička dijagnostika za stabilnost Usluge (bez IP adrese i osobnog sadržaja zahtjeva)	Podaci u EU-u — bez prijenosa izvan EU-a
PostHog, Inc.	EU	Agregirana, pseudonimizirana analitika korištenja za poboljšanje Usluge (analitika u aplikaciji samo uz privolu)	Podaci u EU-u — bez prijenosa izvan EU-a

Okvir EU–SAD za privatnost podataka (DPF): okvir primjerenosti koji je Europska komisija odobrila Odlukom 2023/1795 od 10. srpnja 2023.
Standardne ugovorne klauzule (SCC): model koji je Europska komisija odobrila Odlukom 2021/914 od 4. lipnja 2021.
Za dodatne informacije o primijenjenim zaštitnim mjerama obrati se Voditelju obrade.

7. Čuvanje podataka

Kategorija podataka	Razdoblje čuvanja
Podaci računa i profila	Do brisanja računa, zatim se brišu u roku od 30 dana. Ako ne otvoriš aplikaciju 30 mjeseci, račun se briše automatski, nakon dva upozorenja e-poštom u 12. i 24. mjesecu.
Nedovršene registracije ili nikad prihvaćeni Uvjeti	Automatsko brisanje: 30 dana ako registracija nikada nije dovršena, 60 dana ako Uvjeti nikada nisu prihvaćeni.
Podaci o pregledavanju u pregledniku unutar aplikacije	Do 12 mjeseci od prikupljanja (ili do povlačenja privole)
Zapisi privola (dokaz prihvaćanja Uvjeta)	5 godina od prihvaćanja (zakonska obveza dokumentiranja)
Sigurnosni zapisi i zapisi pristupa	90 dana
Poruke u chatu	Do brisanja računa ili razgovora
Secret Santa: adrese za razmjenu poklona na daljinu i mjesto na koje se šalju pokloni	Brišu se 30 dana nakon dana razmjene poklona
Secret Santa: tajni Djedovi Božićnjaci (tko kome daje poklon)	Nitko ih ne vidi, osim kod konačnog otkrivanja, koje ih prikazuje tijekom 30 dana nakon razmjene poklona. Čuvaju se samo kako se sljedeće godine ne bi ponovno izvukla ista osoba i brišu se kada grupa sljedeće godine provede izvlačenje (ne prije 30 dana od razmjene poklona). Ako ukloniš grupu iz svojih grupa, tvoja se uparivanja brišu 30 dana nakon razmjene poklona.
Secret Santa: cijela grupa (sudionici, osobe za koje se brine odrasla osoba, oglasna ploča, izvlačenje)	Briše se 13 mjeseci nakon dana razmjene poklona ili nakon otkazivanja; odmah ako je osoba koja organizira izbriše za sve
Secret Santa: obavijesti i otvaranja linka	Obavijesti: 60 dana nakon što su završene. Otvaranja linka: 13 mjeseci

Nakon brisanja računa osobni se podaci brišu ili anonimiziraju u roku od 30 dana, osim zapisa privola koji se čuvaju zbog zakonskih obveza.

Ako izbrišeš račun, odmah izlaziš iz svih Secret Santa grupa: tvoje sudjelovanje, osobe za koje se brineš, tvoje poruke na oglasnoj ploči i tvoje obavijesti brišu se.

8. Tvoja prava

Prema čl. 15.–21. GDPR-a imaš sljedeća prava:

Pristup (čl. 15.): dobiti kopiju osobnih podataka koji se na tebe odnose i informacije o njihovoj obradi
Ispravak (čl. 16.): ispraviti netočne ili dopuniti nepotpune podatke
Brisanje („pravo na zaborav”) (čl. 17.): izbrisati svoj račun i sve povezane podatke — dostupno izravno u aplikaciji (Profil → Postavke → Izbriši račun)
Ograničenje obrade (čl. 18.): zatražiti obustavu obrade u određenim slučajevima
Prenosivost (čl. 20.): primiti svoje podatke u strukturiranom, strojno čitljivom formatu (JSON/CSV)
Prigovor (čl. 21.): usprotiviti se obradi temeljenoj na legitimnom interesu
Povlačenje privole (čl. 7. st. 3.): u bilo kojem trenutku povući privolu za personalizaciju putem podataka o pregledavanju, bez utjecaja na zakonitost obrade prije povlačenja — dostupno izravno u aplikaciji (Profil → Postavke → Privatnost)

Za ostvarivanje svojih prava piši na info@giftace.app i navedi svoj zahtjev. Odgovorit ćemo u roku od 30 dana od primitka (u složenim se slučajevima rok može produljiti za dodatnih 60 dana, uz obavijest o razlogu).

9. Najniža dob

Usluga je namijenjena korisnicima s najmanje 16 godina, u skladu s čl. 8. GDPR-a i čl. 2-quinquies talijanske Zakonodavne uredbe 196/2003. Svjesno ne prikupljamo podatke maloljetnika mlađih od 16 godina. Ako doznamo da smo prikupili podatke maloljetnika bez privole nositelja roditeljske odgovornosti, odmah ćemo ih izbrisati. Jedina iznimka je Secret Santa: maloljetnici mlađi od 16 godina mogu sudjelovati samo kao osobe za koje se brine odrasla osoba koja nad njima ostvaruje roditeljsku odgovornost. Obrađujemo samo njihovo ime i ne primaju nikakve poruke.

10. Sigurnost podataka

Primjenjujemo sljedeće tehničke i organizacijske mjere (čl. 32. GDPR-a):

Hashiranje lozinki bcryptom (faktor soli ≥ 10)
Šifrirani prijenos putem HTTPS-a/TLS-a 1.2+
Autentifikacija temeljena na JWT-u s istekom valjanosti
Row-Level Security (RLS) na bazi podataka za izolaciju podataka po korisniku
Pristup podacima ograničen isključivo na ovlašteno osoblje
Redovite sigurnosne kopije sa šifriranjem u mirovanju

U slučaju povrede osobnih podataka koja bi mogla prouzročiti rizike za tvoja prava i slobode, obavijestit ćemo te bez nepotrebnog odgađanja u skladu s čl. 34. GDPR-a. Obavijest nadzornom tijelu (čl. 33. GDPR-a) bit će podnesena u roku od 72 sata od saznanja za povredu.

11. Pritužbe

Imaš pravo podnijeti pritužbu talijanskom tijelu za zaštitu osobnih podataka (Garante Privacy): www.garanteprivacy.it
Garante per la Protezione dei Dati Personali
Piazza Venezia, 11 — 00187 Rim, Italija
Tel: +39 06.69677.1

Ipak te potičemo da nam se obratiš prije podnošenja službene pritužbe, kako bismo problem mogli riješiti izravno.

12. Izmjene ovih Pravila privatnosti

Zadržavamo pravo ažurirati ova Pravila privatnosti u slučaju regulatornih ili tehnoloških promjena, odnosno promjena Usluge. Izmjene će biti razvrstane kao:

Bitne izmjene (nove svrhe, novi pružatelji, nove kategorije podataka): obavijest u aplikaciji i e-poštom najmanje 15 dana unaprijed. Privola će se ponovno zatražiti gdje je to potrebno.
Nebitne izmjene (ispravci, pojašnjenja): ažuriranje verzije bez posebne obavijesti.

Ažurirana verzija uvijek je dostupna na giftace.app/hr/privacy.html i u aplikaciji u odjeljku Profil → Postavke.